Пост Лукацкого

Сижу, пью кофе, вайбкожу... Пока агент решает очередную задачу, читаю собранные новости по ИБ другим агентом, и натыкаюсь на интересную историю, которую мы аккурат на днях рассматривали на дискуссии в рамках "Проверки на прочность". Я тогда задал вопрос о том, что делать, есть CEO вайбкодит и как тогда его творения включать в общую систему кибербеза компании. И вот реальная история. 9 октября 2026 года на форуме MyBroadband появилась публикация об утечке внутренних данных южноафриканской сети кофеен Bootlegger. Выяснилось, что генеральный директор Bootlegger публично рассказывал о своем увлечении Claude и о том, как самостоятельно разрабатывает внутреннее программное обеспечение компании с помощью ИИ. Более того, он высказывал уверенность, что в скором времени программное обеспечение практически перестанет чего-либо стоить. Но обнаружилась небольшая проблемка – разработанная система аналитики бизнеса оказалась доступной из Интернета; без аутентификации. Причем речь шла не просто о возможности открыть страницу входа. В исходном коде страницы находились встроенные наборы внутренних данных компании, включая планы продаж и открытия новых кофеен, показатели эффективности точек, прогнозируемая выручка и т.п. Как обнаружили проблему? Сотрудники Bootlegger публиковали в Instagram фотографии своих ноутбуков, на экранах которых был виден внутренний корпоративный дашборд и кто-то заметил адрес сайта и решил его открыть. Обнаружилось, что система доступна любому желающему. Никакого взлома, эксплуатации уязвимостей, подбора паролей или обхода аутентификации не потребовалось. Судя по описанию, разработчик допустил классическую архитектурную ошибку, – вместо того чтобы проверять права пользователя на сервере и только после успешной аутентификации передавать ему данные, приложение отправляло внутреннюю информацию непосредственно в браузер. Форма входа при этом существовала, но фактически не защищала данные. Получилась своеобразная имитация ИБ – визуально пользователь видел страницу авторизации, но конфиденциальные сведения уже находились в загруженном HTML или JavaScript. Так что вайбкодинг – это не только хорошо, но и ряд нюансов, которые надо учитывать: ➡️ Вайбкодинг устраняет технический барьер, но не устраняет необходимость понимать архитектуру безопасности ➡️ ИИ демократизирует не только разработку, но и создание уязвимостей ➡️ Shadow IT превращается в Shadow AI Development ➡️ Утечка может происходить без какого-либо киберинцидента в традиционном понимании ➡️ Проблема не столько в ИИ, сколько в отсутствии контроля над вводом приложений в эксплуатацию. Так что, да, CEO Bootlegger был прав – стоимость создания программного обеспечения стремится к нулю, но вот то, о чем он умолчал (так как просто не задавался таким вопросом), так это то, что стоимость ошибок в ПО – к нулю не стремится. И чем проще становится создавать приложения, тем важнее оказываются совершенно не инновационные вещи: инвентаризация, контроль доступа, безопасная архитектура, проверка кода и тестирование перед публикацией. ❓ А ваши топы занимаются вайбкодингом? ЗЫ. На Positive Security Day, в кулуарах, услышал про кейс, когда коммерческий директор одной отечественной компании навайбкодил свою CRM и заменил ею установленную 1С. Так что у нас такая же история... #ии #инцидент